防御Kerberos票据攻击需聚焦密钥保护：强制双次轮换krbtgt密码、禁用WDigest明文缓存、停用RC4并启用AES加密与FAST、严格限制DCSync权限及服务账户权限。

防御kerberos金票据与银票据攻击，关键不是拦截票据本身，而是让攻击者根本拿不到签名所需的密钥材料。这两类票据能生效，完全依赖于krbtgt账户哈希（金票）或服务账户哈希（银票）的泄露。所有有效策略都围绕“断密钥、缩时效、强监控”展开。

强制轮换krbtgt密码并确保双次更新

krbtgt账户哈希一旦泄露，金票据可长期伪造，默认10年有效期意味着攻击者能无限期潜伏。单次重置无法彻底清除旧哈希——域控制器之间存在复制延迟，部分DC可能仍缓存旧密钥。

• 必须执行两次密码重置：第一次重置后，等待至少10小时（确保全站DC完成AD复制），再执行第二次重置
• 重置后立即用PowerShell验证：Get-ADUser krbtgt -Properties PasswordLastSet，确认两次时间戳均更新
• 避免在业务高峰期操作，但切勿拖延；两次间隔不足4小时即视为无效防护

禁用WDigest明文凭据缓存

WDigest协议会在内存中以明文形式缓存用户密码，攻击者通过Mimikatz等工具可直接提取。即使没拿下域控，只要获得本地管理员权限，就可能拿到域用户明文或NTLM哈希，为银票甚至金票铺路。

• 通过组策略统一配置：计算机配置 → 管理模板 → 系统 → 凭据分配 → 不在WDigest身份验证中使用凭据
• 或手动修改注册表：HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\UseLogonCredential = 0
• 该策略需重启生效，建议批量部署后检查终端是否已写入且值为0

停用RC4加密，强制AES并启用FAST

RC4_HMAC_MD5哈希是银票最常利用的密钥类型，因其生成简单、离线破解成本低。而AES密钥（尤其是AES256）大幅增加离线爆破难度；FAST（Kerberos armoring）则为AS-REQ/TGS-REQ添加PA-FX-COOKIE保护，抵御中间人和重放攻击。

• 组策略路径：计算机配置 → 策略 → Windows设置 → 安全设置 → 账户策略 → KDC证书映射策略，启用“要求AES加密”并禁用RC4
• 同时开启Kerberos armoring（FAST）：需域功能级别≥Windows Server 2012 R2，并在KDC上启用PKINIT支持
• 注意：启用AES后，老旧系统（如Windows XP、Server 2003）将无法认证，须提前评估兼容性

限制DCSync权限并最小化服务账户权限

DCSync攻击是获取krbtgt哈希的最主要手段，而默认只有Domain Admins组成员才能执行。但现实中，大量服务账户、备份操作员甚至自定义高权限组也被赋予了DS-Replication-Get-Changes权限，形成隐蔽入口。

• 用PowerShell审计：Get-ADReplicationAttributeMetadata "CN=krbtgt,CN=Users,DC=corp,DC=com" -Server DC01 -ShowAllLinkedValues | fl，确认谁有复制权限
• 移除非必要账户/组的Replicating Directory Changes和Replicating Directory Changes All权限
• 所有服务（如SQL、IIS、文件共享）必须使用专用低权限服务账户，禁止用Domain Admin或计算机账户运行；CIFS、HOST等SPN应绑定到专用账户而非机器账户